我已经设置了一些 Windows Server 2012 虚拟机，并且正在尝试我的第一个核心安装。我打算使用服务器管理器和 PowerShell 来管理这些服务器。据我了解，我需要将我的用户添加到远程系统的本地管理员组或使用域管理员帐户“管理为”服务器。我可以看到的第三个选项是创建一个新帐户，该帐户仅对我将以这种方式管理的服务器具有本地管理员权限。
这三种做法哪一种最合适？（或者有更好的第四选择吗？）
- 将我的用户添加到远程服务器的本地管理员组。
- 使用服务器管理器的“管理为”选项使用域管理员的凭据连接到远程服务器。
- 创建一个仅在适当时添加为本地管理员的新用户，然后使用“管理为”进行连接。
- 还有什么？
在 AD 域环境中，本地帐户通常不受欢迎，因为它们更难以管理/跟踪。一旦您在太多服务器上拥有太多不同的本地帐户和太多单独的密码，您将开始做不可避免的愚蠢事情，例如在电子表格中跟踪它们，并且在 3 年内不更改密码......
域帐户通常会使事情变得更整洁。
您可以使用组策略中的受限组之类的东西来保持计算机的本地管理员组清洁和可预测。
如果您需要成为某组机器的管理员，但您不需要成为域中每台机器的管理员，那么请务必使用组策略将特定帐户添加为一组特定机器的管理员。例如，使用组策略将“Accounting Department Managers”组分配给驻留在“Accounting Department”OU 中的所有计算机上的 Administrators 组等。
您肯定走在正确的轨道上，即使用 Server Core 进行远程管理是正确的选择。就 Server Core 版本而言，具有更少的攻击面，而且远程管理允许网络登录，这本身与通过 RDP 的全面交互式登录相比，受到攻击的风险更低。
编辑：最后一个提示......不要使用组策略首选项来创建净新帐户。那不安全。将现有域帐户（或组）添加到本地组很好 - 但不要使用 GPP 来创建全新用户，并将其密码存储在 GPP 中。